2022年winhex恢復(fù)U盤數(shù)據(jù)案例

1、儲備一個文件的時候,操作系統(tǒng)第一在記錄全部空間使用情形的文件支配表 FAT 中找到足夠容納文件的空間,然后把文件內(nèi)容寫到相對應(yīng)的硬盤扇區(qū)上,并在文件支配表中標(biāo)出該空間已經(jīng)被占用；刪除文件的時候,一般并不對文件所占用的扇區(qū)進行操作,而僅僅是在文件支配表中指明哪些空間可以支配給別的文件使用；這個時候, 被刪除文件的實際內(nèi)容仍然存在,可以被復(fù)原； 假如刪除文件后又創(chuàng)建了新文件,那么被刪文件所占用的扇區(qū)就有可能被新文件所使用,這時候就無法復(fù)原被刪文件的數(shù)據(jù)了； 所以一旦誤刪除了文件,就不要再對該文件所在的分區(qū)進行寫操作了,否就有可能掩蓋原有數(shù)據(jù),造成文件無法復(fù)原；學(xué)校問：復(fù)原文件的三個階段1使用自動化

2、復(fù)原軟件復(fù)原軟件 如 Finaldata或 EasyRecovery 等 使用很簡潔,依據(jù)向?qū)У闹甘静僮骶涂梢?了；2手工復(fù)原被刪除數(shù)據(jù)手工復(fù)原的原理是直接在儲備設(shè)備上查找被刪除文件的關(guān)鍵內(nèi)容；這種方法適合復(fù)原有明顯特點而且結(jié)構(gòu)簡潔的文件,如文本文件； 假如文件很大, 且分散于磁盤的不同位置,仍需要依據(jù)文檔的內(nèi)部結(jié)構(gòu)重新組織文檔,才能完全復(fù)原數(shù)據(jù)；3找專業(yè)的數(shù)據(jù)復(fù)原公司備份數(shù)據(jù)由于數(shù)據(jù)很重要,所以第一要進行備份,萬一顯現(xiàn)誤操作,仍可以把 U盤復(fù)原到最初的狀態(tài)； 這一步很重要,并且 U盤容量不大,備份不會占用太大磁盤空間；進行扇區(qū)級別的磁盤數(shù)據(jù)備份有很多工具,如 Ghost、WinHex 和 D

3、iskExplorer,下面主要介紹 WinHex；WinHex是一個 16 進制文件編輯工具,可以跳過操作系統(tǒng)的文件系統(tǒng)直接讀取磁盤和 U盤等設(shè)備,從而進行數(shù)據(jù)復(fù)原；使用 WinHex 的“ Tools ” 菜單下面的“Open Disk” 命令,打開物理U盤；在 WinHex 中看到 U盤的引導(dǎo)數(shù)據(jù)全是“FF” ,分區(qū)表和文件系統(tǒng)完全丟失了；從“ Edit ” 菜單中選擇“Define Block ” ,選擇起止為“Beginning of file” 和“End of file” ；Into New File” ,把整個U盤的數(shù)然后再從“Edit ” 菜單中選擇“Copy Block ”

4、 “據(jù)寫到一個文件中 例如“u.img ” ,這樣就完成了U盤的備份；自動復(fù)原完成備份后, 筆者嘗試用數(shù)據(jù)復(fù)原工具Finaldata、EasyRecovery 和 Recover4All進行復(fù)原,由于 U盤容量很小, 很快就搜尋出很多文件,但是就是沒有發(fā)覺要找的那個重要文件,看來只能手工操作了；手工修復(fù)確定文件位置詢問伴侶得知該文件是中英文混合的Word文檔,大部分是中文,含有少量英文,因此筆者準(zhǔn)備通過查找文件內(nèi)容嘗試復(fù)原文件；用 WinHex打開前面儲存的U盤鏡像文件 在鏡像文件上進行數(shù)據(jù)復(fù)原的好處是拜望速度比直接拜望 U盤快,而且仍可以防止破壞 U盤原有數(shù)據(jù)； 選擇“Search” 菜單中

5、的“Find Text ” 命令,從鏡像文件中直接搜尋文中包含的英文字符串“control needed” ；由于搜尋到太多的字符串“control needed” ,因此目前仍無法對文件進行定位；假如能記住部分中文內(nèi)容,搜尋中文可以防止找到太多的結(jié)果；Word文檔中的中文用Unicode 編碼,因此打開記事本輸入文章包含的中文字符“ 決策” ,另存為 Unicode 編碼的文件 test.txt；用 WinHex 打開文件“test.txt” ,開頭的“FFFE” 代表字符編碼的次序,因此隨后的“ B351567B” 就是“ 決策” 的Unicode 格式的 16 進制表示；從 WinHex

6、 的“ Search” 菜單中選擇“Find Hex Values” 命令,在 U盤鏡像文件中搜尋“ B351567B” ；由于 WinHex 只能以內(nèi)碼的格式顯示中文,Unicode 格式的中文都顯示為亂碼,那么如何知道是否找到了正確的數(shù)據(jù)呢？從搜尋到“B351567B” 的地方開頭選擇一段數(shù)據(jù),仍然是從“Edit ” 菜單中選擇“Copy Block ” “Into New File” 復(fù)制到一個新的文件中noname.txt；打開記事本, 選定剛才儲存的文件“noname.txt ” , 然后將編碼格式設(shè)置為“Unicode”格式后再打開就可以看到它的真實內(nèi)容了,經(jīng)伴侶確認(rèn), 這段文字就

7、是要找的文件的部分內(nèi) 容；定位文件頭要完整地復(fù)原Word文檔,僅找到文件部分內(nèi)容是不夠的,我們需要找到DOC文件的開頭 文件頭 ；用 WinHex 打開任意一個已知的完好的Word 文件,可以看到文件的起始標(biāo)志字符串為“D0CF11E0” ,顯示為“ 邢. 唷” ；查到DOC文檔的特點標(biāo)志為“ D0CF11E0A1B11AE1” ；easy 提示純文本格式的TXT文件不像 Word文檔那樣有特點標(biāo)志,但復(fù)原時可以直接用WinHex搜尋文件中包含的中文或者英文關(guān)鍵字,確定文件所處位置；仍然是使用 WinHex的“ Find Hex Values” 命令,搜尋方向設(shè)置為“Up” ,也就是從剛才找到

8、的特點字符串“ 決策” 的位置往前搜尋 Word文件的起始標(biāo)志“D0CF11E0” ；找到 Word文件起始位置后,選擇“Edit ” 菜單中的“Define Block ” ,設(shè)定塊開頭的位置為標(biāo)志字符串“D0CF11E0” 開頭的地方,依據(jù)文件的大小, 設(shè)定一個估量的終止偏移量,可以盡量大一些,不要太小就可以了；從“Edit ” 菜單中選擇“Copy Block ” “Into New File ” 把定義的塊儲存為一個新文件 new.doc ；easy 提示如何運算塊的大?。縒inHex 中的一個偏移量代表一個字節(jié)Byte ,運行 Windows自帶的運算器,切換到十六進制模式,用終止地址減去開頭地址就得到定義塊的大?。?60000355A00A600 A600 十六進制 42496十進